cookbooks/nominatim/templates/default/nginx.erb

   1 upstream nominatim_service {
   2   server unix:/run/gunicorn-nominatim.openstreetmap.org.sock fail_timeout=0;
   3 }
   4
   5 map $uri $nominatim_script_name {
   6     ~^/*(.+?)\.php        $1;
   7     ~^/*([^/]+)           $1;
   8     ^$                   search;
   9 }
  10
  11 map $uri $nominatim_path_info {
  12     ~^/([^/]+)(.*)$      $2;
  13 }
  14
  15 map $args $format {
  16     default                  default;
  17     ~(^|&)format=html(&|$)   html;
  18     ~(^|&)format=            other;
  19 }
  20
  21 map $uri/$format $forward_to_ui {
  22     default               1;
  23     ~^/ui                 0;
  24     ~/other$              0;
  25     ~/reverse.*/default   0;
  26     ~/lookup.*/default    0;
  27     ~/status.*/default    0;
  28 }
  29
  30 map $query_string $email_id {
  31     ~(^|&)email=([^&]+)  $2;
  32 }
  33
  34 map $email_id $missing_email {
  35     default "";
  36     "" 1;
  37 }
  38
  39 map $http_user_agent $missing_ua {
  40     default "";
  41     "" 1;
  42 }
  43
  44 map $http_referer $missing_referer {
  45     default "";
  46     "" 1;
  47 }
  48
  49 # Whitelisted IPs
  50 geo $whitelisted {
  51     default 0;
  52 <% @frontends.each do |frontend| -%>
  53 <% frontend.ipaddresses(:role => :external).sort.each do |address| -%>
  54     <%= address %> 1;
  55 <% end -%>
  56 <% end -%>
  57     46.235.224.148 1;
  58     209.132.180.180 1;
  59     209.132.180.168 1;
  60     8.43.85.3 1; # gnome
  61     8.43.85.4 1; # gnome
  62     8.43.85.5 1; # gnome
  63     2620:52:3:1:5054:ff:fe0a:75a4 1; # gnome
  64     2620:52:3:1:5054:ff:fe0a:75a2 1; # gnome
  65     2620:52:3:1:5054:ff:fe0a:75aa 1; # gnome
  66     34.234.151.67 1; # gnome - https://github.com/openstreetmap/operations/issues/1160
  67     54.165.53.199 1; # gnome - https://github.com/openstreetmap/operations/issues/1160
  68     35.153.15.118 1; # gnome - https://github.com/openstreetmap/operations/issues/1160
  69 }
  70
  71 map $server_protocol$http_user_agent $cleaned_user_agent {
  72     default $http_user_agent;
  73     "~^HTTP/1..Mozilla/" Script$http_user_agent;
  74 }
  75
  76 map $missing_email$missing_referer$cleaned_user_agent $blocked_user_agent {
  77    default 0;
  78    "11" 2; # block any requests without identifier
  79    include <%= @confdir %>/nginx_blocked_user_agent.conf;
  80 }
  81
  82 map $missing_email$missing_ua$http_referer $blocked_referrer {
  83    default 0;
  84    include <%= @confdir %>/nginx_blocked_referrer.conf;
  85 }
  86
  87 map $missing_referer$missing_ua$email_id $blocked_email {
  88    default 0;
  89    include <%= @confdir %>/nginx_blocked_email.conf;
  90 }
  91
  92 map $whitelisted $limit_www {
  93     1 "";
  94     0 $binary_remote_addr;
  95 }
  96
  97 map $blocked_user_agent $limit_tarpit {
  98     0 "";
  99     1 $binary_remote_addr;
 100     2 $binary_remote_addr;
 101 }
 102
 103 map $missing_email$missing_referer$http_user_agent $generic_mozilla {
 104     default 0;
 105     ~^11Mozilla/4.0 1;
 106     ~^11Mozilla/5.0 2;
 107 }
 108
 109 map $whitelisted$generic_mozilla$uri $limit_reverse {
 110     default "";
 111     ~01/reverse.*  $binary_remote_addr;
 112     ~02/reverse.*  $binary_remote_addr;
 113 }
 114
 115 limit_req_zone $limit_www zone=www:50m rate=2r/s;
 116 limit_req_zone $limit_tarpit zone=tarpit:10m rate=1r/s;
 117 limit_req_zone $binary_remote_addr zone=blocked:10m rate=20r/m;
 118 limit_req_zone $limit_reverse zone=reverse:10m rate=10r/m;
 119
 120 server {
 121     listen 80 default_server;
 122     listen [::]:80 default_server;
 123
 124     access_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-access.log combined;
 125     error_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-error.log;
 126
 127     location /nginx_status {
 128         stub_status on;
 129         access_log   off;
 130         allow 127.0.0.1;
 131         allow ::1;
 132         deny all;
 133     }
 134
 135      rewrite ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 permanent;
 136
 137      location / {
 138          return 301 https://$host$request_uri;
 139      }
 140 }
 141
 142 server {
 143     # IPv4
 144     listen       443 ssl http2 default_server;
 145     # IPv6
 146     listen       [::]:443 ssl http2 default_server;
 147     server_name  localhost;
 148
 149     ssl_certificate /etc/ssl/certs/<%= node[:fqdn] %>.pem;
 150     ssl_certificate_key /etc/ssl/private/<%= node[:fqdn] %>.key;
 151
 152     root <%= @directory %>/static-website;
 153     index /search;
 154
 155     access_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-access.log combined;
 156     error_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-error.log;
 157
 158     location /nginx_status {
 159         stub_status on;
 160         access_log   off;
 161         allow 127.0.0.1;
 162         allow ::1;
 163         deny all;
 164     }
 165
 166     error_page 403 /403.html;
 167     location /403.html {
 168         limit_req zone=blocked burst=5;
 169     }
 170
 171     error_page 429 /509.html;
 172     location /509.html {
 173         limit_req zone=blocked burst=5;
 174     }
 175
 176     location / {
 177         try_files $uri $uri/ @php;
 178     }
 179
 180     location /ui/ {
 181         alias <%= @ui_directory %>/dist/;
 182         index search.html;
 183     }
 184
 185     location /qa-data/ {
 186         add_header Access-Control-Allow-Origin "*" always;
 187     }
 188
 189     location ~* ^/(search|reverse)(\.php)?/ {
 190         error_page 404 /404-old-search-syntax.html;
 191         return 404;
 192     }
 193
 194     location @php {
 195         if ($forward_to_ui) {
 196             rewrite ^(/[^/]*) https://$host/ui$1.html redirect;
 197         }
 198         if ($blocked_user_agent ~ ^2$)
 199         { return 403; }
 200         if ($blocked_referrer)
 201         { return 403; }
 202         if ($blocked_email)
 203         { return 403; }
 204         if ($args ~* "q=[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+[ &]")
 205         { return 418; }
 206         include <%= @confdir %>/nginx_blocked_generic.conf;
 207
 208         limit_req zone=www burst=10;
 209         limit_req zone=tarpit burst=5;
 210         limit_req zone=reverse burst=5;
 211         limit_req_status 429;
 212
 213         if ($request_method = 'OPTIONS') {
 214           add_header 'Content-Type' 'text/plain; charset=UTF-8';
 215           add_header 'Content-Length' 0;
 216           add_header Access-Control-Allow-Origin "*";
 217           add_header Access-Control-Allow-Methods 'GET,OPTIONS';
 218           add_header Access-Control-Allow-Headers $http_access_control_request_headers;
 219           return 204;
 220         }
 221
 222         proxy_set_header Host $http_host;
 223         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 224         proxy_set_header X-Forwarded-Proto $scheme;
 225         proxy_redirect off;
 226         proxy_pass http://nominatim_service;
 227     }
 228 }